Questa settimana, CTI esamina un attore sostenuto dal governo cinese noto come Evasive Panda, che ha aggiornato il proprio set di strumenti per introdurre nuove versioni della backdoor “Macma mac” e del malware “Nightdoor” Windows . Di seguito, CTI riassume la decima edizione della Valutazione delle minacce legate alla criminalità organizzata su Internet (IOCTA) di Europol. Infine, CTI conclude con un’analisi del ransomware Play — un’operazione che sta attualmente distribuendo una variante del proprio ransomware denominata “ Linux ” per colpire gli ambienti ESXi di VMware .
1. Evasive Panda distribuisce nuove versioni della backdoor Macma
Un attore sostenuto dal governo cinese ha aggiornato il proprio set di strumenti, introducendo diverse nuove versioni del backdoor “ ” Macma mac e un nuovo malware denominato Nightdoor Windows . L’attore ha utilizzato questo nuovo strumento in diversi attacchi recenti contro organizzazioni con sede a Taiwan e contro un’organizzazione non governativa americana in Cina.
Che cos’è la backdoor Macma per macOS?
Macma è una backdoor specifica per macOS. È stato documentato per la prima volta da Google nel 2021, ma vi sono prove che suggeriscono che sia in uso almeno dal 2019.
Quando Macma è stato scoperto per la prima volta, veniva utilizzato principalmente in attacchi di tipo “watering hole” a Hong Kong. Questa backdoor è modulare e dispone di funzionalità quali il rilevamento delle impronte digitali, l’esecuzione di comandi, la cattura dello schermo, la registrazione dei tasti, la registrazione audio e la possibilità di caricare e scaricare file.
Symantec ha individuato varianti più recenti della backdoor. Una variante presentava un modulo principale completamente diverso, mentre un’altra prevedeva aggiornamenti incrementali. Tra le differenze presenti nelle nuove varianti figurano moduli aggiornati, percorsi delle directory e nomi dei file aggiornati, nonché registrazioni di debug aggiuntive. Il modulo principale del malware è stato aggiornato per includere una nuova logica, codice modificato e un nuovo file.
Attribuzione Macma
I ricercatori attribuiscono questa recente attività a un attore sostenuto dalla Cina noto come Evasive Panda, alias Daggerfly. Sebbene in precedenza Macma non fosse collegato ad alcun gruppo specifico, Symantec ritiene che ora faccia parte dell’arsenale di Daggerfly.
Due delle varianti da loro individuate si sono collegate a un server C2 utilizzato da un dropper MgBot comunemente impiegato da Daggerfly. Questa infrastruttura condivisa costituisce un indicatore chiave di attribuzione. Inoltre, è emerso che MgBot e Macma contengono codice proveniente da una libreria condivisa o da un framework.
Nuova backdoor " Windows "
Symantec ha inoltre scoperto che l’autore dell’attacco utilizzava una backdoor di tipo “ Windows ”, denominata Trojan.Suzafk, segnalata per la prima volta all’inizio di quest’anno da ESET e soprannominata Nightdoor.
La backdoor “ Windows ” è stata rilevata insieme a MgBot ed è stata a sua volta sviluppata utilizzando la stessa libreria condivisa di molti strumenti Daggerfly.
Questa backdoor è articolata in più fasi e utilizza il protocollo TCP o OneDrive per le proprie comunicazioni C2 . Il programma di caricamento genererà una DLL e un file eseguibile. Il file eseguibile è un’ App e legittima denominata DAEMON Tools Lite Helper, mentre la DLL è un programma di caricamento destinato a creare attività pianificate e a caricare il payload finale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attore è attivo da oltre un decennio, occupandosi principalmente di campagne di spionaggio. La continua evoluzione del repertorio dell’attore è uno dei motivi principali per cui l’attore continua ad avere successo.
Poiché questo gruppo dispone di “notevoli risorse”, è in grado di sviluppare e utilizzare rapidamente nuove varianti non appena quelle precedenti vengono rese note al pubblico. Symantec ritiene che il gruppo stia utilizzando un framework personalizzato come base per lo sviluppo delle proprie varianti di malware, poiché non è stato possibile collegarlo ad alcun framework disponibile pubblicamente. Ciò conferma ulteriormente la capacità dell’attore di creare rapidamente nuove varianti.
2. I criminali informatici operano in modo indipendente dopo lo smantellamento delle reti RaaS
Europol ha pubblicato la decima edizione della propria Valutazione delle minacce legate alla criminalità organizzata su Internet (IOCTA) , che esamina il panorama delle minacce nel suo complesso e analizza una serie di minacce e tendenze in continua evoluzione, che spaziano dagli attacchi informatici alle truffe nei pagamenti. Una parte della valutazione verte sull’impatto delle interruzioni delle attività delle forze dell’ordine. Uno dei risultati principali è una maggiore difficoltà nel monitoraggio degli attori e un aumento del numero di attori che scelgono di lavorare in modo indipendente.
Il modello RaaS funziona in modo tale da costringere quasi le operazioni di ransomware a competere per accaparrarsi gli affiliati e a posizionarsi come il RaaS più attraente. Questo modello rende già l’attribuzione un po’ confusa, poiché gli affiliati potrebbero appartenere a più di un RaaS.
Le recenti operazioni di smantellamento condotte dalle forze dell’ordine rendono l’attribuzione ancora più difficile, costringendo le organizzazioni a cambiare nome o a sciogliersi e spingendo i responsabili a unirsi ad altri gruppi o a collaborare con membri di altri gruppi per dare vita a operazioni completamente nuove. Il continuo avvicendamento degli attori tra i vari gruppi di ransomware rende sempre più difficile capire quale operatore si celi realmente dietro un attacco.
Europol definisce il panorama del ransomware “frammentato” a causa dell’intensificarsi delle attività delle forze dell’ordine.
Poiché l’intervento delle forze dell’ordine può compromettere un’operazione di ransomware, esiste la possibilità che gli affiliati decidano di unirsi a un altro gruppo o di mettersi in proprio. Sebbene quest’ultima ipotesi non si verifichi tutti i giorni, rimane comunque plausibile — soprattutto poiché gli affiliati sono ormai stanchi di dover cambiare continuamente modalità operative.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Le recenti operazioni delle forze dell’ordine e le azioni di contrasto condotte negli ultimi mesi hanno sicuramente avuto un impatto sul panorama del ransomware. Sebbene non siano sufficienti a neutralizzare completamente la minaccia, stanno indubbiamente determinando un cambiamento nel modo in cui operano gli autori degli attacchi ransomware.
Queste iniziative volte allo smantellamento e alla destabilizzazione stanno sostanzialmente mettendo alla prova la fedeltà degli attori e stanno addirittura aumentando il numero di coloro che sono disposti a distaccarsi dal modello RaaS e, potenzialmente, a iniziare a operare in modo indipendente.
Questo potenziale passaggio verso attori indipendenti comporta una serie di sfide. Oltre a rendere più difficile l’attribuzione, ciò provocherebbe probabilmente un’ondata di varianti di malware e ransomware, ciascuna con lievi modifiche rispetto alle altre.
3. Linux La variante "Play" prende di mira i sistemi ESXi di VMware
Il gruppo Play ransomware sta ora diffondendo una variante Linux del proprio ransomware per colpire gli ambienti ESXi di VMware .
Gli ultimi attacchi Play prendono di mira principalmente organizzazioni negli Stati Uniti operanti in diversi settori, tra cui quello manifatturiero, dei servizi professionali e dell’IT. I ricercatori hanno inoltre individuato un collegamento tra il ransomware Play e Prolific Puma, un attore che gestisce un servizio di accorciamento dei link.
Che cos’è il ransomware Play?
L’operazione ransomware denominata “Play” è emersa per la prima volta nel giugno 2022 ed è diventata rapidamente nota in tutto il settore per l’utilizzo di strumenti sviluppati su misura.
L’aggiunta di una variante denominata “ Linux ”, destinata agli ambienti ESXi di VMware , consente al gruppo di prendere di mira ulteriori vittime. Secondo Symantec, tra gennaio e luglio del 2024, l’operazione ha causato 187 vittime in diversi settori — e il 82,4% di esse si trovava negli Stati Uniti.
La catena di contagio di Play
La variante “Play Linux ” non era stata rilevata da VirusTotal al momento della pubblicazione del rapporto di Trend Micro. Trend Micro non ha ancora rilevato alcun caso di infezione in ambiente reale derivante da questa variante, ma ha confermato che il server C2 ospita molti degli strumenti che l’autore degli attacchi tende a utilizzare nei propri attacchi.
La variante ` Linux ` sembra essere simile alla variante ` Windows ` e accetta molti degli stessi argomenti. Tra queste figurano l’esecuzione delle normali funzionalità e la crittografia di un’unità specificata, di una risorsa condivisa in rete o di un file/una cartella specifici. Questa variante eseguirà diversi comandi per verificare di trovarsi in un ambiente ESXi prima di procedere all'esecuzione completa e, in caso contrario, si eliminerà automaticamente.
I comandi dello script Shell verranno eseguiti qualora si riscontri che il sistema è in esecuzione in un ambiente ESXi; uno di questi comandi è incaricato di eseguire la scansione e di spegnere eventuali macchine virtuali individuate. Il ransomware procederà quindi all’esecuzione di diversi comandi che crittograferanno i file della macchina virtuale, inclusi il disco della macchina virtuale, i file di configurazione e i metadati, aggiungendo loro l’estensione .play e inserendo la richiesta di riscatto.
Il prolifico legame di Play con Puma
Trend Micro ha rilevato che il sito URL, che ospita il payload e gli strumenti del ransomware, era collegato a un altro attore noto come Prolific Puma. Questo operatore crea domini utilizzando un algoritmo di generazione casuale di destinazioni e li impiega poi nel servizio di accorciamento dei link che commercializza.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa scoperta rende Play l’ultima operazione di ransomware in un elenco sempre più lungo di soggetti interessati a prendere di mira Linux per aumentare il numero di potenziali vittime.
Il fatto che Play stia sfruttando i servizi di accorciamento dei link forniti da Prolific Puma costituisce un ulteriore segnale dell’evoluzione del gruppo. Trend Micro sottolinea che Prolific Puma è «selettivo nel processo di selezione dei propri clienti, preferendo collaborare con individui o gruppi ritenuti meritevoli dei propri servizi», il che indica che altri attori, come Prolific Puma, considerano l’operazione del ransomware Play sofisticata o «degna di nota».
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
